Checkliste Technische und organisatorische Maßnahmen (Anlage zu § 9 Satz 1 BDSG)

Die nachfolgende Übersicht beruht auf der Checkliste zur Erfüllung der Aufgaben nach § 9 BDSG und Anlage, die anhand von Prüflisten der Datenschutzaufsichtsbehörden erstellt und angepasst wurde. Als Quellen dienten die Regierung von Mittelfranken, die Bayerische Datenschutz-Aufsichtsbehörde für den nicht-öffentlichen Bereich (Stand: 7/2005) sowie der Hamburgische Datenschutzbeauftragte (Stand: 5/2007). Die Checkliste erschien erstmals 2006 in der Fachzeitschrift Recht der Datenverarbeitung (RDV 2006, 272, 280) und wird regelmäßig im GDD-Jahrbuch veröffentlicht. Ihr Autor, Dr. Münch, stellte sie dem Datenschutz-Wiki dankenswerterweise zur Verfügung. Des Umfangs halber wurden die Übersicht in einzelne Listen aufgeteilt, des weiteren teilweise angepasst bzw. ergänzt. Bei der Verwendung des Prüfkatalogs im Rahmen verschiedener Landesdatenschutzgesetze bitte die evtl. andere Nummerierung beachten.

Weitergabekontrolle (Anlage Nr.4) 
"zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist"

Nr.	Vorgabe	erfüllt	nicht erfüllt	nicht erforderlich	Bemerkungen	
5.1	Welche Datenträgertransporte finden statt?					
5.1.1	Innerhalb des Unternehmens					
5.1.2	Zur Auslagerung					
5.1.3	Zwischen Auftraggeber/-nehmer					
5.1.4	Zu Dritten					
5.2	Welche Versendungsarten (allgemein)?					
5.2.1	Datenleitung					
5.2.2	E-Mail					
5.2.3	(S)FTP					
5.2.4	Post					
5.2.5	Bahn					
5.2.6	Kuriere					
5.2.7	Taxi					
5.2.8	Telefax					
5.3	Welche Versendungsarten (DEÜV)?					
5.3.1	Datenträgertransport					
5.3.2	Verschlüsselte Datenübertragung					
5.4	Schriftliche Transportregelungen					
5.4.1	zur Festlegung der Wege					
5.4.2	zu den Transportverfahren					
5.4.3	zu Datenempfängern					
5.4.4	zur Weitergabe Berechtigten					
5.4.5	zur Vollständigkeitsprüfung bei Rücklieferung vom Auftragnehmer					
5.5	Transportsicherung					
5.5.1	verschlossene Transportbehälter					
5.5.2	zuverlässige Boten / Transportunternehmen				Wer?	
5.5.3	sichere Versendungsformen					
5.5.3.1	Wertpaket					
5.5.3.2	Einschreibesendungen					
5.5.3.3	Dateiverschlüsselung					
5.5.3.4	E-Mail-Verschlüsselung				Welcher Art?	
5.5.3.5	Elektronische Signatur					
5.5.3.6	VPN					
5.5.3.7	Festplattenverschlüsselung (mobile Arbeitsgeräte)					
5.6	Telefax-Regelungen					
5.7	Lieferscheine / Quittierverfahren bei Eingang und Ausgang von Datenträgern					
5.7.1	Legitimation der Abholer					
5.7.2	Empfangsbestätigungen					
5.7.3	Ein-/Ausgangsbücher					
5.7.4	Lieferscheine					
5.7.5	Protokollierung					
5.8	Vorgesehene Datenübermittlungen in den Verfahrensübersichten vermerkt?					
5.9	Dokumentation der Abruf- und Übermittlungsprogramme 					
5.10	Protokollierung der Übermittlung					
5.11	Regelungen für Tele- / Heimarbeiter?					
5.12	Fernwartung				Wenn "Nein", entfallen nachfolgende Punkte	
5.12.1	Bestehen Zugriffsmöglichkeiten auf personenbezogene Daten?				Welche Datenkategorien?	
5.12.2	ADV notwendig / vorhanden (§ 11 BDSG)				Bei Fernwartung durch Datenverarbeitung im Auftrag - Kontrolle des Auftragnehmers wie? Verschiedene Auftragnehmer in nachfolgenden Punkten benennen.	
5.12.3	Wofür wird Fernwartung durchgeführt?					
5.12.3.1	Hardware				PC, Server	
5.12.3.1.1	Netzwerk					
5.12.3.1.2	Firewall					
5.12.3.1.3	Festplattensysteme (SAN, NAS)					
5.12.3.1.4	Backupsysteme (Tape-Libraries)					
5.12.3.1.5	Andere				Welche?	
5.12.3.2	Software					
5.12.3.2.1	Betriebssystem				Welche Systeme? Ergänzung zu Hardware	
5.12.3.2.2	Firmware				Welche Systeme? Ergänzung zu Hardware	
5.12.3.2.3	Anwendungen				unterstützende Anwendungen und Programme	
5.12.3.2.4	Andere				Welche?	
5.12.3.3	Benutzeradministration					
5.12.3.4	Helpdesk					
5.12.4	Umfang der Zugriffsrechte					
5.12.4.1	Allgemeine Benutzerrechte					
5.12.4.2	Administrationsrechte					
5.12.4.3	Shell-Kommando- / Dateisystem-Zugriff					
5.12.4.4	Andere Privilegien				Welche?	
5.12.5	Zugangs-/Zugriffsweg					
5.12.5.1	permanent bestehende bzw. intern vorhandene Verbindung				z.B. internes Netzwerk	
5.12.5.2	Internet				externe Netzwerkverbindungen	
5.12.5.3	Standleitung					
5.12.5.4	ISDN					
5.12.5.5	Telefonnetz / Modem					
5.12.6	explizites Freischalten durch Auftraggeber				Nach welcher Vorgabe? Gruppenrollen? Spezifische, einzelne Nutzerkonten?	
5.12.7	Verschlüsselung					
5.12.7.1	des (gesamten) Übertragungsweges				Wie?	
5.12.7.2	ausnahmsweise zu übertragender Daten				Wie?	
5.12.8	Zugangskontrolle					
5.12.8.1	Benutzerkennung / Passwort					
5.12.8.2	4-Augen-Prinzip (gesplittetes Passwort)					
5.12.8.3	Einmal-Passwort (Token)					
5.12.8.4	Automatischer Rückruf (RAS)					
5.12.8.5	Rufnummernidentifikation (ISDN)					
5.12.8.6	Beteiligte vorgelagerte Systeme				Firewall, Proxy	
5.12.9	Monitoring der Fernwartungsaktivitäten				Wie?	
5.12.10	Protokollierung der Fernwartung				Wie? Wo?	
5.12.11	Protokollauswertung				Durch wen?	
5.12.12	Regelungen zur Verwaltung und Konfiguration der Wartungszugriffe					
5.12.12.1	Freigabeverfahren				Beantragung wie? Genehmigung durch wen?	
5.12.12.2	Prüfung der Berechtigungen				Ablauffristen, Erneuerungen